Veille sécuritéCMS & e-commerce
P3Critique
Le plugin AGE-GATE présente une exécution de code à distance non authentifiée via son point d’entrée admin.php et des paramètres POST non assainis. Toutes les versions jusqu’à 1.0 incluse sont concernées ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
WordPress
IdentifiantCVE-2026-104800
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104800
Analyse technique
Le fichier admin.php ne charge pas WordPress et ne vérifie ni authentification, ni capacité, ni nonce. Des paramètres POST sont injectés dans du code PHP écrit dans un fichier ensuite inclus.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la fiche indique une date de publication NVD dans la période, le 2026-10-14. La date de mise à jour NVD est également dans la période, mais n’est pas à elle seule considérée comme l’événement déclencheur.
ImpactUn attaquant non authentifié peut exécuter du code sur le serveur.
Versions affectéesToutes les versions jusqu’à 1.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS1,03% · percentile 63,0%
Publication2026-10-14T04:18:12.563Z
Mise à jour2026-10-14T14:26:59.367Z
Action recommandée
Désactiver et supprimer le plugin jusqu’à disponibilité d’un correctif ; vérifier le serveur pour détecter d’éventuelles modifications non autorisées.
Sources
Priorisation DFS : P3 · 1 source(s).